📡 Signal｜XRP Ledger 財団、耐量子署名の移行研究を2027年前半に設定

XRP Ledger Foundation は 11 月 4 日に更新した「2027 年プロトコル・ロードマップ」の量子対策のページで、アカウントとバリデーターが米国立標準技術研究所（NIST）の耐量子署名 ML-DSA-44 で署名できるようにする改正案の評価を公表した。2027 年前半に移行の研究を行い、開発と監査は 2027 年後半から 2028 年にかけて進める日程を置いている。

署名 1 件が 3.7 キロバイト近く重くなっても、基本の手数料は変えないのが仕様の立場だ。ただ同じページは、その据え置きこそ研究で決め直すべき論点の一つに挙げている。耐量子への移行が「いつ」から「誰が重さを負担するか」の段階に入ったことを、この評価は示している。

何を入れ替え、どれだけ重くなるか

XRP Ledger のアカウントは現在、secp256k1 か Ed25519 の鍵で署名している。どちらも十分に大きな量子コンピューターが現れれば、公開鍵から秘密鍵を割り出す計算（Shor のアルゴリズム）で破られる。ページは Ripple の 4 月 20 日の計画を引き、アカウントが署名するたびに公開鍵がチェーン上に記録されるため、将来の攻撃者は今日記録された鍵から作業できると書く。

改正案は、2024 年 8 月 13 日に NIST が FIPS 204 として定めた ML-DSA の最小の設定、ML-DSA-44 を新しい鍵の種類として加える。対象はアカウントの取引の署名だけでなく、バリデーターの合意の提案や検証、バリデーター一覧の発行者の署名、ノード同士の接続の手順にまで及ぶ。

重さは仕様の数字で測られている。公開鍵 1,312 バイトと最大 2,420 バイトの署名で 1 件 3,732 バイトになり、いまの 33 バイトの鍵と 72 バイトの署名に比べて 3,627 バイト増える。通常の XRP の送金 1 件の 1,704 バイトに足すと 5,331 バイトで、約 3.1 倍だ。台帳 1 枚あたり 1 件なら年 42 ギガバイト、1,000 件なら年 4 万 2,029 ギガバイトの保存量になるとページは試算している。

手数料の据え置きは、決着ではなく宿題

XRP Ledger の手数料は取引のデータの大きさに比例しない。仕様は手数料表を変えないと書いており、同じ基本手数料のまま、耐量子の署名の付いた取引だけが約 3.7 キロバイト重くなる。送金する側の負担は増えない代わりに、通信量、取引履歴の保存、そして迷惑な大量送信を仕掛けるコストの安さが、ノードを動かす側に回る。ページはこれを主要なリスクの最初に置き、データの大きさに応じた手数料の規則が要るかを移行の研究で決めるべきだとしている。

移行の手順にも穴が指摘されている。新しい鍵を補助の鍵（regular key）に設定しても、元のマスターキーが有効なままならアカウントは守られない。マスターキーを無効にする手順が要るが、鍵を入れ替えないアカウントについての仕様の節はそこに触れていない。入れ替えないアカウントは露出したまま残り、Ripple の計画にある「突然破られた場合の回復の仕組み」も、この仕様の範囲外だ。

実装は試験用ネットワークの AlphaNet で動いた段階にある。それでも、同じシードから Python 製の発行ツールと本体のサーバーで別々の鍵ができる不一致（48 バイトと 32 バイトの導出の違い）や、実装間で共通に使う試験データの未整備が残る。約 150 のバリデーターがすべて新しい署名に移ったときの合意の遅れも、公開の場では測られていない。開発 640 時間とは別に、Ripple のレビューと外部の暗号監査などで 21 万 5,000〜25 万 5,000 ドルを見積もっている。

Bitcoin と Ethereum は別の入口から

同じ脅威への備えでも、チェーンごとに手を付ける場所が違う。Bitcoin の BIP 360（Pay-to-Merkle-Root・草案）は、Taproot から公開鍵で直接使う経路を外した出力の形を足すもので、耐量子の署名そのものは将来の別提案に委ねると本文に明記している。署名を入れ替える前に、公開鍵をさらさない置き場所を先に作る順番だ（ビットコインの量子対策を読んだ Deep Dive）。Ethereum は、ハッシュに基づく署名とアカウントごとに署名の検証方法を選べる仕組みの組み合わせで進む（Lean Ethereum の記事）。

XRP Ledger の案は、既存のアカウントの仕組みに新しい鍵の種類を足し、合意の層まで一度に入れ替える。主要なチェーンで通常のアカウントとバリデーターに耐量子の鍵を本体として載せた例はまだ無いとページは書き、だからこそ最も厳しいレビューが要ると結んでいる。Ripple 自身は 4 月の計画で、2028 年までの完全な移行を目標に掲げた。

次に見るもの

最初の確認先は、仕様の議論の場である GitHub の XRPL-Standards の議論 #295 だ。鍵の長さで方式を見分ける今の設計に対し、方式を示す識別子を明示すべきだという外部からの意見が 10 月 15 日に付いており、仕様がそれを取り込むかで、将来の ML-DSA-65 や 87 への切り替えの手間が変わる。

その先は 2027 年前半の移行の研究の結論になる。データの大きさに応じた手数料を入れるのか、据え置きのままノード側が負担するのか。答えはロードマップのページの次の更新で、改正案の見積もりと一緒に示される。

ことば

ML-DSA-44 — 2024 年に NIST が標準化した格子に基づく電子署名 ML-DSA の 3 段階の設定のうち、最も小さく軽いもの。量子コンピューターでも破れないとされる一方、鍵と署名がいまの楕円曲線の署名より 30 倍以上大きい。
マスターキーと補助の鍵（regular key） — XRP Ledger のアカウントは、作成時の鍵とは別に入れ替え可能な鍵を設定できる。新しい鍵を足しても元の鍵が生きていれば、その鍵を破られた時点で資金は動かせる。
改正（amendment） — XRP Ledger の規則を変える手続き。信頼されたバリデーターの多数の支持が一定期間続くと有効になる。今回の案はまだその投票の前、仕様と研究の段階にある。

🔗 一次ソース

何を入れ替え、どれだけ重くなるか

手数料の据え置きは、決着ではなく宿題

Bitcoin と Ethereum は別の入口から

次に見るもの

ことば

関連記事